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Verfahren und Vorrichtung zum Uberwachen von Signal verarbei- 

'bungseinhel'ben fiir Sensoren 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zum Uberwachen von Signalverarbeitungseinheiten fur Senso- 
ren, die jeweils einzelne Prozefif uhrungs- oder ProzelimeBgro- 
lien eines Prozesses erfassen. 

Elektronische Stabilitatsprogramme sind f ahrdynamische Re- 
gelsysteme fiir Fahrzeuge, die dazu dienen, den Fahrer in 
kritischen Fahrsituationen wahrend des Bremsens, Beschleuni- 
gens und Lenkens zu unterstutzen und dort einzugreif en, wo 
der Fahrer selbst keine direkte Eingrif f smoglichkeit hat. 
Das Regelsystem unterstutzt den Fahrer beim Bremsen, insbe- 
sondere auf einer Fahrbahn mit niedrigem oder wechselndem 
Reibwert, auf der das Fahrzeug wegen blockierender Rader 
nicht mehr steuerbar sein oder ins Schleudern geraten konn- 
te, ferner beim Beschleunigen, wobei die Gefahr des Durch- 
drehens der Antriebsrader besteht, sowie schlieJilich beim 
Lenken in einer Kurve, in der das Fahrzeug iiber- oder unter- 
steuern konnte. Insgesamt wird damit nicht nur der Komfort, 
sondern auch die aktive Sicherheit wesentlich verbessert. 
Einem solchen Regelsystem liegt ein geschlossener Regelkreis 
zugrunde, der im Normalbetrieb des Fahrzeugs typische Re- 
gelaufgaben ubernimmt und in extremen Fahrsituationen das 
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Fahrzeug so schnell wie moglich abfangen soli. Als Istwert- 
geber sind dabei Sensoren zur Erfassung der verschiedenen 
fahrdynamischen Parameter von besonderer Bedeutung, Eine 
plausible Regelung setzt voraus, dass die Sensoren den 
Istzustand der Regelstrecke korrekt wiedergeben. Dies ist 
bei Fahrstabilitatsregelungen in extremen Fahrsituationen, 
in denen eine Regelabweichung schon innerhalb einer sehr 
kurzen Zeit ausgeregelt werden mufi, besonders wichtig. Aus 
diesem Grunde mussen bei einem elektronischen Stabilitats- 
programm die Sensoren (Gierratensensor , Querbeschleunigungs- 
sensor, Lenkwinkelsensor ) standig uberwacht werden. Eine 
entsprechende Online-Sensoruberwachung hat den Zweck, Fehler 
in den Sensoren fruhzeitig zu erkennen, damit eine Fehlrege- 
lung, die das Fahrzeug in einen sicherheitskritischen Zu- 
stand bringen konnte, ausgeschlossen wird. 

Die zur Zeit in Serie befindlichen ESP-Systeme verwenden ei- 
nen Mehrfachsensor ( „Sensorcluster'' ) zur Erfassung von Fahr- 
zeug-Drehrate sowie Quer- und ggf- Langsbeschleunigung . Die- 
ser Sensor ist im Fahrgastraum angeordnet und kommuniziert 

^ uber eine CAN-Schnittstelle mit dem ESP-Steuergerat (WO 

' 99/47889) 

Zukunftige Anwendungen (z.B. ESP-2 oder Active Front Stee- 
ring AFS) sehen vor, die Signale des Sensorclusters auch zur 
Beeinf lussung der Lenkung heranzuziehen . Da Lenkeingrif f e 
grundsatzlich hohere Risiken beinhalten als Bremseingrif f e, 
werden auch an die Zuverlassigkeit der Sensorik hohere An- 
forderungen gestellt. Es werden redundante Systeme benotigt, 
die selbstandig Fehlf unktionen erkennen und entsprechend re- 
agieren konnen. 
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Figur 1 zeigt einen bekannten Sensorcluster in redundanter 
Ausfuhrung. Drehraten 11, 12- und Beschleunigungssensor 1, 2 
sind daher doppelt vorhanden. Die Signalverarbeitung erfolgt 
in einem gemeinsam genutzten Chipsatz. Hierbei sind A/D- 
Wandler ADC 1, ADC 2 und Prozessorkern //CI, //C2 redundant 
ausgelegt, die Signalpfade 13, 14 (z.B. SPI-Schnittstelle 
zwischen den Wandlern und Prozessoren, Empf angsregister 
usw,) sind jedoch nur einmal vorhanden. Defekte Sensorele- 
mente konnen so erkannt werden, ebenso Fehler in der Pro- 
grammausf iihrung . 

Nachteilig ist jedoch, dass Fehler auf dem Obertragungsweg 
zwischen A/D-Wandler (ADC) und Prozessor nicht erkannt wer- 
den, ebenso wenig wie Fehler im A/D-Wandler selbst (z.B 
stuck bits) , die in der Grolienordnung der zulassigen Signa- 
lungenauigkeit liegen . 

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfah- 
ren und eine Vorrichtung zur Oberwachung der Signalverarbei- 
tung von Sensoren der eingangs genannten Art zu schaffen, 
das/die eine insbesondere fur die Fahrstabilitatsregelung 
und/oder Komf ortregelung mit aktiven Lenkeingrif f en fur 
Fahrzeuge erf orderliche Zuverlassigkeit aufweist. 

Gel5st wird diese Aufgabe gemaii Anspruch 1 mit einem Verfah- 
ren der eingangs genannten Art, das sich auszeichnet durch 
eine mindestens redundante Verarbeitung der Sensordaten in 
zwei gleichen Signalverarbeitungseinheiten, die jeweils un- 
abhangig und getrennt voneinander uber mindestens zwei Auf- 
bereitungseinrichtungen in zwei Auswerteeinrichtungen aus- 
gewertet und plausibilisiert werden, wobei die Sensordaten 
ilber getrennte Signalleitungen zwischen der jeweils einen 
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Aufbereitungseinrichtung und der jeweils einen Auswerteein- 
richtung libertragen warden. 

Vorteilhaft ist, dass die in jeder Auswerteeinrichtung je- 
weils separat ausgewerteten und plausibilisierten Sensorda- 
ten uber eine Schnittstelle zwischen den Auswerteeinrichtun- 
gen ausgetauscht warden. Dabei warden von jeder Auswerteein- 
richtung unabhangig von der andaren die ausgewerteten und 
plausibilisierten Sensordaten und Zustandsinf ormationen der 
jeweiligen anderen Auswerteeinheit an ein tibergeordnetes 
Steuergerat das Fahrzeugs gesendet. 

Die Ubertragung der ausgewerteten und plausibilisierten Sen- 
sordaten und Zustandsinf ormationen der jeweiligen anderen 
Auswerteeinheit erfolgt uber interne separate Signalleitun- 
gen zu jeweils einem Datenbus und zu dem Steuergerat des 
Fahrzeugs - 

Diase Aufgaba wird farnar gamali Anspruch 5 mit einer Vor- 
richtung der eingangs genannten Art gelost, die sich aus- 
zeichnet durch mindestens zwei gleiche Signalverarbeitungs- 
einheiten zur redundanten Verarbeitung der Sensordaten, mit 
mindestens zwei Auf bereitungseinrichtungen und zwei Auswer- 
teeinrichtungen in denen die Sensordaten jeweils unabhangig 
und getrennt voneinander ausgewertet und plausibilisiert 
werden, wobei jeweils eine Aufbereitungseinrichtung mit der 
jeweils einen Auswerteeinrichtung uber getrennte Signallei- 
tungen verbunden sind und die Sensordaten zwischen der je- 
weils einen Aufbereitungseinrichtung und der jeweils einen 
Auswerteeinrichtung uber die jeweils separate Signalleitung 
libertragen werden 
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Vorteilhafte Weiterbildungen der Erfindung sind in den Un- 
teranspriichen angegeben. 

Durch die Erfindung ergeben sich die folgenden Vorteile: 

• Vollstandig redundanter Signalweg bis hin zur Signal- 
ausgabe. Samtliche im System auftretenden Fehler konnen 
erkannt werden, 

• Vermeidung von Komf orteinbulien durch vorzeitige System- 
aktivierung, bedingt durch Fehler, die noch im Rahmen 
des spezif izierten Bereiches liegen. 

• Eignung fur hochsensible Systeme mit sehr kleinen Re- 
gel schwe lien . 

• Kostenersparnis durch Verwendung der gleichen Komponen- 
ten wie beim nicht redundanten Standard-Sensorcluster . 
Es sind keine Spezialbauteile (wie z.B. double core- 
Prozessoren) notwendig . 

Ausfuhrungsbeispiele der Erfindung sind in den Zeichnungen 
dargestellt und werden im folgenden naher beschrieben. 

Es zeigen: 

Fig. 1 einen einfach redundanten Sensorcluster nach dem 

Stand der Technik 

Fig. 2 eine schematische Darstellung der Struktur eines 

ESP-Systems; 



Fig- 3 einen vollstandig redundanten Sensorcluster na 
der Erfindung. 
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Der Vorgang des Autofahrens kann gemSB Figur 2 im regelungs- 
technischen Sinne als ein Regelkreis betrachtet warden, bei 
dem ein Fahrer 1 den Regler und ein Fahrzeug 2 die Regel- 
strecke darstellt. Die Fuhrungsgrolien sind dabei die person- 
lichen Fahrwunsche FW des Fahrers, die er durch eine fort- 
laufende Beobachtung des StraBenverkehrs erstellt. Die Ist- 
werte IF sind die Momentanwerte fur Fahrtrichtung und Ge- 
schwindigkeit, die der Fahrer uber seine Augen bzw. das 
Fahrgefuhl erfaBt. Die Stellgrofien SF sind schlieBlich der 
Lenkradwinkel, die Stellung des Getriebes sowie die Stellun- 
gen von Gas- und Bremspedal, die von dem Fahrer aufgrund der 
Abweichungen zwischen den Soli- und den Istwerten erstellt 
werden. 

Eine derartige Regelung wird hauf ig durch Storungen S- wie 
Reibwertanderungen, Fahrbahnunebenheiten, Seitenwind oder 
andere Einflusse erschwert, da der Fahrer diese nicht prazi- 
se erfassen kann, jedoch bei der Regelung berucksichtigen 
muB. Aus diesem Grunde kann der Fahrer 1 zwar im allgemeinen 
die ihm ubertragenen Aufgaben, namlich den Prozefi des Auto- 
fahrens zu regeln und zu beobachten, in normalen FahrzustSn- 
den aufgrund seiner Ausbildung und der gesammelten Erfahrung 
ohne Schwierigkeiten bewaltigen. In Extremsituationen und / 
Oder bei den genannten auliergewohnlichen Fahr zustanden, bei 
denen die physikalischen Reibkraf tgrenzen zwischen der Fahr- 
bahn und den Reifen uberschritten werden, besteht jedoch die 
Gefahr, dali der Fahrer zu spat oder falsch reagiert und die 
Kontrolle uber sein Fahrzeug verliert. 

Urn auch diesen Fahrsituationen Rechnung tragen zu konnen, 
wird das f ahrdynamische Regelsystem mit einem unterlagerten 
Regelkreis (ESP) erganzt, der gemalb Figur 1 einen Regelalgo- 
rithmus 4, eine Systemuberwachung 5 und einen Fehlerspeicher 
6 umfafit. Gemessene FahrzustandsgroJien werden dabei der Sys- 
temuberwachung 5 und dem Regelalgorithmus 4 zugefuhrt. Die 
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Systemuberwachung 5 erzeugt ggf. eine Fehlermeldung F, die 
dem Fehlerspeicher 6 und dem Regelalgorithmus 4 zugefuhrt 
wird. Der Regelalgorithmus 4 beaufschlagt dann in AbhSngig- 
keit von den vora Fahrer 1 erzeugten Stellgroiien das Fahrzeug 
2. Mit diesem Regelkreis werden typische Regelauf gaben aus- 
geftihrt. In extremen Fahrsituationen wird das Fahrzeug so 
schnell wie moglich wieder abgefangen. 

Figur 3 zeigt die Struktur eines solchen Regelkreises, der 
im wesentlichen ein Antiblockiersystem 10, eine Antriebs- 
schlupf regelung 11 und eine Giermomentregelung 12 umfalit. 
Das System kann um eine nicht naher dargestellte Lenkwinkel- 
regelung erweitert sein, wie sie zum Beispiel in der 
WO2004/005093 beschrieben ist. Weiterhin sind Gierratensen- 
soren 13, Querbeschleunigungssensoren 14, ein Lenkwinkelsen- 
sor 15, ein Drucksensor 16 und vier Radgeschwindigkeitssen- 
soren 17 vorgesehen, die sowohl als Istwertgeber zur Ermitt- 
lung der Regelabweichung, als auch zur Bildung eines Gierra- 
tensollwertes und verschiedener Zwischengroiien eingesetzt 
werden . 

Die von dem Fahrer 1 durch BetStigung eines Gas- und Brems- 
pedals sowie des Lenkrades erzeugten ProzeBf uhrungsgroiien 
werden der Antriebsschlupf regelung 11, dem Antiblockiersys- 
tem 10 und dem Drucksensor 16 beziehungsweise dem Lenkwin- 
kelsensor 15 zugefugt. Fahrzeugspezif ische Nichtlinearita- 
ten, Schwankungen der Reibwerte, Seitenwind-Einf liisse usw. 
sind als Storungen oder unbekannte Grolien 18 zusammengef aJit 
und beeinflussen die Fahrzeug-Langs- und Querdynamik 19. 
Diese Dynamik 19 wird ferner durch die genannten Fuhrungs- 
groJien sowie die Ausgangssignale einer Motormanagementein- 
heit 20 beeinflufit und beaufschlagt die Radgeschwindigkeits- 
sensoren 17, die Gierratensensoren 13, die Querbeschleuni- 
gungssensoren 14 sowie den Drucksensor 16. Eine Regelar- 
bitration 21, der die Ausgangssignale des Antiblockiersys- 
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terns 10, der Antriebsschlupf regelung 11, der Giermomentrege- 
lung 12, der Lenkwinkelregelung und eines Bremseneingrif f s~ 
algorithmus 22 zugefuhrt werden, dient zur Prioritatsvertei- 
lung dieser Signale im Hinblick auf ihr Einwirken auf die 
Motormanagementeinheit 2 0 oder direkt auf die Fahrdynamik 
19. Der Bremseneingrif f salgorithmus 22 wird dabei von der 
Giermomentregelung 12 und deiri Drucksensor 16 beauf schlagt . 
Schlielilich ist eine Fahrzustandserkennung 23 vorgesehen, 
der die Signale des Lenkwinkelsensors 15, der Gierratensen- 
soren 13, der Querbeschleunigungssensoren 14 sowie der Rad- 
geschwindigkeitssensoren 17 zugefuhrt werden und deren Aus- 
gangssignale die Giermomentregelung 12 sowie ein Einspurre- 
ferenzmodell 24, mit dem eine gewunschte Soll-Gierrate er- 
zeugt wird, oder die Lenkwinkelregelung beauf schlagt . 

In der Figur 4 ist der Sensorcluster 4 0 mit vollstandiger 
symmetrischer Redundanz der Signalverarbeitungseinheiten 43, 
31 46 und 44, 32, 45 dargestellt. Der Sensorcluster 40 be- 
steht aus zwei identischen getrennten Pfaden zur Signalver- 
arbeitung. Drehraten 41, 42- und Beschleunigungssensor 21, 
22 sind doppelt vorhanden. Bevorzugt sind die Sensoren 41, 
42, 21, 22 und die Signalverarbeitungseinheiten 43, 31 46 
und 44, 32, 4 5 in einem gemeinsamen Gehause 62 angeordnet. 
Ihnen sind zwei Signal-Aufbereitungseinrichtungen 43, 44, 
wie analog-digital Signalwandler , zugeordnet, die das analo- 
ge Ausgangssignal der Sensoren in ein digitales Eingangssig- 
nal wandeln. Zur Signalverarbeitung werden zwei Auswerte- 
einrichtungen 31, 32, wie identische Microcontroller, digi- 
tale Signalprozessoren (DSP) oder programmierbare Logikbau- 
steine, insbesondere ASICs, eingesetzt. Die Sensordaten zwi- 
schen der jeweils einen Aufbereitungseinrichtung ( 43, 44) und 
der jeweils einen Auswerteeinrichtung (31, 32) werden tiber 
jeweils eine separate Signalleitung (60, 61) ubertragen. In 
den Auswerteeinrichtungen 31, 32 werden die nun digital vor- 
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liegenden Signale digital verarbeitet. Ausgangsseitig der 
Auswerteeinrichtungen 31, 32 liegen die auswertebezogenen 
Sensorsignale an. Diese werden dem seriellen Fahrzeugkommu- 
nikationsbus 47 uber den in den Auswerteinrichtungen 31, 32 
ausgebildeten zwei CAN- Controller 45, 46 eingespeist. Die 
uber die jeweils separaten Leitimgen 71, 72 mit integrierten 
CAN (Controller Area Network) verbimdenen Auswerteeinrich- 
tungen 31, 32 libernehmen dabei folgende Systemf -unktionen: 

• Bereitstellung eines Treibersignals/Treiberspannung zur 
Anregung des elektrisch-mechanischen Wandlers des Dreh- 

ratensensoren 41,42 

• Aufnahme der Signale der Drehratensensoren 41, 42 mit 
spezif ischen algorithmischen Verrechnungen und Filte- 
rung zur Gewinnung einer ZahlengroSe fur die Gierbewe- 

gxong eines Fahrzeugs 

• Wandlung der Zahlengrofien der Gierbewegung eines Fahr- 
zeugs im CAN und Transfer auf den seriellen Bus 47. 

Diese Auswerteeinrichtungen 31, 32 konnen genau den im be- 
kannten Sensorcluster (zB. EP 1 064 520 Bl) eingesetzten 
Bauteilen entsprechen, d.h. fur dieses System werden dann 
keine Spezialbauteile benotigt. 

Die Ausg^nge der beiden Signalverarbeitungseinheiten 43, 31, 
45; 44, 32, 45 k5nnen im Sensorcluster 40 zusammengef uhrt 
Oder in getrennten Leitungen 49, 50 an den Fahrzeugkommuni- 
kationsbus (hier CAN) angeschlossen werden. Bei einer Zusam- 
menfiihrung im Sensorcluster bleibt die Schnittstelle kompa- 
tibel zu dem bestehenden System. 

Jede der Auswerteeinrichtungen 31, 32 hat Zugang zu samtli- 
chen Sensordaten und fuhrt unabhangig vom anderen eine Sig- 
nalverarbeitung und PlausibilitStsbeurteilung durch. Das Er- 
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gebnis seiner Plausibilitatsbetrachtung und ggf. das ihrer 
Berechnungen teilt sie ihrem Partner durch eine geeignete 
Schnittstelle 48 mit. 

Daraufhin setzt jede Auswerteeinrichtungen 31, 32 unabhangig 
vom anderen eine Nachricht (hier CAN-Botschaf t ) an das (ESP- 
)Steuergerat ab. Diese Nachricht enthalt in codierter Form 
die eigenen Daten, den Status der eigenen Plausibilitatsbe- 
trachtung sowie den vom Partner signalisierten Zustand. 

Abhangig von den in den Nachrichten enthaltenen Statusflags 
entscheidet das Steuergerat, ob die Daten als gtiltig, als 
bedingt gultig oder als fehlerhaft zu beurteilen sind. Be- 
dingt gultige Daten konnen durch Vergleich mit anderen Gro- 
lien, z.B. mit den Radgeschwindigkeiten Uber das Modell 




bewertet und ggf. noch genutzt werden. S ist hierbei die 
Spurweite des Fahrzeugs, Vvr ist die Radgeschwindigkeit vorne 
rechts, Vvi ist die Radgeschwindigkeit vorne links. So kann 
z.B. bei Ausfall eines Gierratensignales wahrend einer ESP- 
Regelung vom Steuergerat anhand der vorhandenen Modelldaten 
das intakte Signal identif iziert und zum Fortsetzen der Re- 
gelung verwendet werden. 

Vom Aufwand her entspricht diese Losung zwei getrennten i- 
dentischen Sensorclustern. Sie hat jedoch den Vorteil, dali 
jeder Cluster auf die Sensorik des anderen zugreifen kann. 
Hierdurch stehen zusStzliche Inf ormationen zur Verfugung. 

Das hier am Beispiel Sensorcluster erlauterte Redundanzkon- 
zept lalit sich auf beliebige andere Sensorsysteme ubertra- 
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gen. Daher sind folgende Variationen denkbar, die durch die 
Erfindung mitumf asst werden: 

• Einsatz von n>=2 Signalverarbeitungseinheiten 43, 31, 

4 6 die auf die Signale von beliebig vielen Sensoren 41, 
42, 21, 22 zugreifen, von denen ein Teil redundant vor- 
handen sein kann aber nicht muli . 

• Redundante Sensoren 41, 42 konnen doppelt oder mehrfach 
(>2) vorhanden sein. Mit drei oder mehr Sensoren kann 
bereits wShrend der Signalverarbeitung eine Entschei- 
dung getroffen werden, welcher Sensor fehlerhaft ist. 

• Sensoren 41, 42, 21, 22 und die Signalverarbeitungsein- 
heiten 43, 31, 46; 44, 32, 45 mUssen sich nicht im sel- 
ben GehSuse 62 befinden. 

• Der Anschlufi) 63-7 0 der Sensoren an die Signalverarbei- 
tungseinheiten kann analog oder digital erfolgen. 

• Der AnschluB der Signalverarbeitungseinheiten 43, 31, 
46; 44, 32, 45 an das ubergeordnete Steuergerat kann 
analog oder digital erfolgen. 

• Die Signalverarbeitungseinheiten 43, 31, 46; 44, 32, 45 
tauschen Statusinf ormationen, Rechenergebnisse oder gar 
keine Inf ormationen aus . 

• Die Signalverarbeitungseinheiten 43, 31, 46; 44, 32, 45 
konnen zu bestimmten Zeiten unterschiedliche Aufgaben 
wahrnehmen (z.B. in der Initialisierungsphase oder bei 
Eigendiagnose) . 

• Nicht jede Signalverarbeitungseinheit 43, 31, 46; 44, 
32, 45 muB alle Sensorsignale auswerten, es sind auch 
teilweise redundante Systeme mSglich. 

Fiir den Fall, dass ein ubergeordnetes System nicht akzepta- 
bel ist, bietet sich als vorteilhafte Aus fuhrungs form an, 
nur eine Signalverarbeitungseinheit 43, 31, 46; 44, 32, 45 
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aktiv kommunizieren zu lassen. Die andere (n) bleiben zu- 
nachst passiv im Hintergrund, fiihren jedoch trozdem die 
Plausibilisierung mit zugehoriger interner Kommunikation 
durch. Nur wenn dort eine Diskrepanz festgestellt wurde, le- 
gen die passiven Signalverarbeitungseinheiten Veto ein und 
melden sich aktiv bei dem ilbergeordneten System. Praktisch 
realisiert konnte dies so aussehen: 

Signalverarbeitungseinheit 43, 31, 46 und 44, 32, 45 sind 
identisch, aber haben eine Software, welche tiber einen Pin 
codiert zwei Betriebsarten ermcjiglicht . 

Signalverarbeitungseinheit 43, 31, 46 arbeitet als Master 
(Codierung 1) und sendet das Ergebnis ihrer Auswertung am 
CAN 

Signalverarbeitungseinheit 44, 32, 45 arbeitet als Slave 
(Codierung 0) und vergleicht das aber CAN empfangene Er- 
gebnis des Masters mit ihren eigenen Berechnungen. Ober- 
einstimmung bzw Abweichung teilt sie dem Master mit und 
schickt ggf . eine CAN-Botschaf t mit gesetztem Fehlerflag 
ans System. 

Die Kommunikation kann z.B. iiber zwei Leitungen MATCH, 
MATCH_N erfolgen, die in jeder Software-Loop gegensinnig 
toggeln und bei Fehler beide auf 1 oder beide auf 0 gehen. 
Signalverarbeitungseinheit 43, 31, 4 6 erkennt durch o.g. 
Riickmeldung, dass Signalverarbeitungseinheit 44, 32, 45 
vorhanden ist und arbeitet. 

Signalverarbeitungseinheit 44, 32, 4 5 erkennt durch Emp- 
fang der CAN-Botschaf ten, dass Signalverarbeitungseinheit 
43, 31, 4 6 vorhanden ist und arbeitet. 
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Pa-ben-tanspruche : 

l.Verfahren zum Oberwachen von Signalverarbeitungseinheiten 
fiir Sensoren, die jeweils einzelne Prozelif uhrungs- oder 
Prozelimefigrofien eines Prozesses erfassen, gekennzeichnet 
durch eine mindestens redundante Verarbeitung der Sensor- 
daten in zwei gleichen Signalverarbeitungseinheiten (43, 
31, 46 und 44, 32, 45), die jeweils unabhangig und ge- 
trennt voneinander uber mindestens zwei Auf bereitungsein- 
richtungen (43, 44) in zwei Auswerteeinrichtungen ( 31,32) 
ausgewertet und plausibilisiert werden, wobei die Sensor- 
daten uber getrennte Signalleitungen (60, 61) zwischen der 
jeweils einen Auf bereitungseinrichtung (43, 44) und der 
jeweils einen Auswerteeinrichtung (31, 32) ilbertragen wer- 
den. 

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass 
die in jeder Auswerteeinrichtung (31, 32) jeweils separat 
ausgewerteten und plausibilisierten Sensordaten uber eine 
Schnittstelle zwischen den Auswerteeinrichtungen (31, 32) 
ausgetauscht werden . 

3. Verfahren nach Anspruch 1 oder 2, daduirch gekennzeichnet, 

dass von jeder Auswerteeinrichtung (31, 32) unabhangig von 
der anderen die ausgewerteten und plausibilisierten Sen- 
sordaten und Zustandsinformationen der jeweiligen anderen 
Auswerteeinheit an ein iibergeordnetes Steuergerat des 
Fahrzeugs gesendet werden. 
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4. Verfahren nach einem der AnsprQche 1 bis 3, dadurch ge- 
kennzeichnet, dass die ausgewerteten und plausibilisierten 
Sensordaten und Zustandsinf ormationen der jeweiligen ande- 
ren Auswerteeinheit (31, 32) Uber interne separate Signal- 
leitungen (49, 50) uber jeweils einem Datenbus(47) zu dem 
Steuergerat des Fahrzeugs ubertragen werden. 

5. Vorrichtung zum Uberwachen von Signalverarbeitungseinhei- 
ten fur Sensoren, die jeweils einzelne Prozelif uhrungs- o- 
der Prozelimefigrolien eines Prozesses erfassen, gekennzeich- 
net durch mindestens zwei gleiche Signalverarbeitungsein- 
heiten (43, 31, 46; 44, 32, 45 ) zur redundanten Verarbei- 
tung der Sensordaten, mit mindestens zwei Aufbereitungs- 
einrichtungen (43, 44) und zwei Auswerteeinrichtungen (31, 
32) in denen die Sensordaten jeweils unabhangig und ge- 
trennt voneinander ausgewertet und plausibilisiert werden, 
wobei jeweils eine Aufbereitungseinrichtung ( 43, 44) mit 
der jeweils einen Auswerteeinrichtung (31, 32) uber ge- 
trennte Signalleitungen (60, 62) verbunden sind und die 
Sensordaten zwischen der jeweils einen Aufbereitungsein- 
richtung (43, 44) und der jeweils einen Auswerteeinrichtung 
(31, 32) uber die jeweils separate Signalleitung (60, 61) 
ubertragen werden. 

e.Vorrichtung nach Anspruch 5, dadurch gekeimzeichnet, dass 
die in jeder Auswerteeinrichtung (31, 32) jeweils separat 
ausgewerteten und plausibilisierten Sensordaten Uber eine 
Schnittstelle zwischen den Auswerteeinrichtungen (31, 32) 
ausgetauscht werden 

7.Vorrichtung nach Anspruch 5 oder 6, dadurch gekennzeich- 

, dass jede Auswerteeinrichtung (31, 32) unabhangig von 
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der anderen die ausgewerteten und plausibilisierten Sen- 
sordaten und Zustandsinf ormationen der jeweiligen anderen 
Auswerteeinheit an ein Fahrzeug-Steuergerat sendet . 



8 .Vorrichtung nach einem der Anspruche 5 bis 1, 

kennzeichnet, dass jede Auswerteeinheit (31, 32) iiber eine 
interne separate Signalleitung (71, 72) mit einem Daten- 
bus(45, 4 6) verbunden ist und die ausgewerteten und plau- 
sibilisierten Sensordaten und Zustandsinf ormationen der 
jeweiligen anderen Auswerteeinheit (31, 32) iiber den je- 
weils einen Datenbus(45, 46) zu dem Fahrzeug-SteuergerSt 
iibertragen werden 



Continental Teves AG & Co. OHG 



P 10890 



- 16 - 



Verfahren und eine Vorrichtung zum Uberwachen von Signalver- 

arbeitungseinheiten fiir Sensoren 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zum Oberwachen von signalverarbeitungseinheiten fur Senso- 
ren, die j eweils einzelne Prozefif Uhrungs- oder Prozeiimelbgro- 
Ben eines Prozesses erfassen. Zur Verbesserung der Zuverlas- 
sigkeit der Sensordaten eines Fahrzeugs erfolgt eine mindes- 
tens redundante Verarbeitung der Sensordaten in zwei glei- 
chen Signalverarbeitungseinheiten (43, 31, 46; 44, 32, 45), 
die j eweils unabhangig und getrennt voneinander uber mindes- 
tens zwei Aufbereitungseinrichtungen (43, 44) in zwei Aus- 
werteeinrichtungen (31, 32) verfugen, wobei die Sensordaten 
aber getrennte Signalleitungen (60, 61) zwischen der j eweils 
einen Aufbereitungseinrichtung ( 43, 44) und der zugehorigen 
Auswerteeinrichtung (31,32) ubertragen werden. 
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